Voir la table des matières Ne plus voir la table des matières
Un portefeuille matériel, c’est une petite clé électronique qui garde vos clés privées hors ligne, à l’abri des ordinateurs connectés. Le principe tient en une phrase : tant que la phrase de récupération ne quitte pas l’appareil, personne ne peut bouger vos fonds. Trezor en vend depuis 2013 et en a fait son argument de vente principal.
Le 13 août, le constructeur tchèque a pourtant annoncé une fuite de données touchant 13 689 de ses clients. Rien n’a fui de ses serveurs : la brèche vient de ShipMonk, son prestataire logistique, qui détenait les noms, adresses et numéros de téléphone des acheteurs. Les appareils restent intacts, les identités beaucoup moins. Quand on achète un coffre-fort, faut-il aussi se soucier du camion qui le livre ?
Ce qui a fuité, et chez qui exactement
ShipMonk a prévenu Trezor le 10 août d’un accès non autorisé à ses systèmes. Le décompte publié par le constructeur distingue deux cercles : 11 742 clients dont le nom, l’adresse de livraison, le numéro de téléphone et l’adresse électronique ont été exposés, et 1 947 autres pour lesquels la fuite se limite au nom, à la ville et au courriel.
Les commandes concernées ont été passées entre le 10 mai et le 8 août 2026, dans sept pays : États-Unis, Royaume-Uni, Suède, Colombie, Brésil, Italie et Portugal. La France n’apparaît pas dans cette liste, ce qui ne dispense personne de vérifier sa boîte de réception, puisque chaque personne touchée a reçu une notification individuelle.
L’enquête reste ouverte du côté du prestataire, qui a depuis sécurisé les systèmes concernés. Trezor précise que le second groupe, celui des 1 947 expositions partielles, pourrait inclure des commandes plus anciennes que la fenêtre annoncée, un point encore en cours de vérification avec son partenaire.
Pourquoi les appareils, eux, n’ont rien perdu
La confusion serait facile, elle serait fausse. Une fuite de données de livraison n’a aucun effet sur la sécurité cryptographique d’un portefeuille matériel : les clés privées ne quittent jamais la puce sécurisée de l’appareil, et aucun prestataire d’expédition n’en détient la moindre trace. Le voleur qui récupère une adresse postale ne récupère pas un bitcoin.
Le constructeur insiste sur cette séparation, tout en reconnaissant la gravité de l’incident. Il s’agit, d’après son communiqué, de la première fuite exposant des numéros de téléphone et des adresses postales depuis la création de l’entreprise en 2013.
Nos systèmes n’ont pas été compromis et votre appareil Trezor reste sécurisé, mais les clients concernés pourraient être visés par des tentatives de hameçonnage plus sophistiquées.
Communiqué de l’équipe Trezor, publié sur le blog officiel de la marque le 13 août 2026
La nuance compte pour qui compare les modes de conservation. Le matériel a tenu son contrat, c’est la chaîne commerciale qui a cédé, et elle ressemble à celle de n’importe quel marchand en ligne. Le sujet relève de la protection des données personnelles avant de relever de la cryptographie.
Le vrai risque porte un nom, le hameçonnage ciblé
Un escroc qui connaît votre nom, votre adresse et le modèle commandé n’écrit plus un courriel générique : il écrit le vôtre. Pour les 11 742 clients dont l’adresse postale a fuité, les vecteurs à surveiller sont désormais identifiés.
- des courriels imitant le service client du fabricant, d’une banque ou d’une plateforme d’échange ;
- des appels téléphoniques usurpant un conseiller, rendus crédibles par la connaissance de la commande ;
- des courriers postaux contenant un faux appareil de remplacement ou une fausse carte de récupération ;
- des messages pressants réclamant une action immédiate, marque de fabrique de l’ingénierie sociale.
La règle de survie n’a pas bougé d’un iota : la phrase de récupération ne se saisit jamais sur un site et ne se communique à personne, quel que soit l’interlocuteur ou le prétexte invoqué. Aucun constructeur sérieux ne la réclamera, ni par téléphone, ni par courrier.
Le second réflexe consiste à recouper toute sollicitation avec les canaux officiels de la marque. Ce schéma s’était déjà vu à grande échelle lors des campagnes usurpant l’identité d’une plateforme de trading, avec des messages qui reprenaient jusqu’au ton des communications légitimes.
La politique des 90 jours a joué son rôle d’amortisseur
13 689 personnes, c’est beaucoup et c’est peu. Trezor impose à ses partenaires logistiques la suppression ou l’anonymisation des données de commande 90 jours après la livraison, soit le délai le plus court qui couvre encore l’expédition, les retours et les remboursements éventuels. Les commandes antérieures ne figuraient tout simplement plus dans les systèmes de ShipMonk.
Voilà une démonstration rarement aussi nette de ce que vaut une politique de rétention courte. La donnée qu’on ne conserve pas est la seule qui ne puisse pas fuir, et cette contrainte se négocie contractuellement avec les sous-traitants, pas seulement en interne. Le droit européen en fait un principe, cet incident en fait une démonstration chiffrée.
Commander un portefeuille sans semer son adresse
Recevoir un objet physique implique de donner une adresse, il n’y a pas de miracle. Plusieurs leviers réduisent néanmoins l’empreinte laissée derrière soi, et le constructeur les documente désormais lui-même : adresse électronique dédiée sans lien avec l’identité réelle, paiement en cryptomonnaies ou par carte virtuelle jetable, retrait en point relais plutôt qu’à domicile. Chacun retire une ligne du dossier qu’un prestataire pourrait un jour égarer.
Trezor annonce par ailleurs une option de livraison anonyme, avec emballage neutre, expéditeur générique et suppression automatique des identifiants d’expédition après réception. Elle est attendue dans l’Union européenne en septembre 2026 et aux États-Unis d’ici la fin de l’année. Le calendrier tombe à point nommé, ce qui n’a rien d’un hasard.
Reste le cas des personnes déjà touchées, pour qui aucune de ces précautions n’est rétroactive. Leur adresse circule, et la vigilance devient une habitude à installer durablement plutôt qu’un réflexe de quelques semaines. Comprendre ce qu’un portefeuille matériel protège réellement aide à distinguer une alerte crédible d’une manipulation soignée.
Le maillon faible n’est jamais celui qu’on blinde
L’été 2026 aura été rude pour l’auto-conservation. Quelques jours plus tôt, une faille sur les Coldcard avait coûté 114 millions de dollars à leurs propriétaires, cette fois par un défaut de génération des phrases secrètes. Deux incidents, deux mécanismes sans rapport, et une même leçon sur l’endroit où le risque se déplace.
La sécurité d’un patrimoine numérique ne se joue pas uniquement dans la puce. Elle se joue dans le transporteur, le formulaire de commande, la boîte aux lettres, la messagerie. Ces surfaces-là ne sont pas cryptographiques, elles sont administratives, et elles échappent largement au détenteur des fonds.
Le débat entre garde personnelle et garde confiée à un tiers régulé y trouve une matière inattendue. Confier ses jetons à une plateforme européenne agréée déplace le risque sans le supprimer, puisqu’elle détient elle aussi votre identité et votre adresse. La question n’est pas de savoir qui est infaillible, mais quel type de faille on préfère affronter, et avec quelle capacité de réaction.
